Passkey (clé d’accès) : se connecter sans mot de passe

Une passkey remplace le mot de passe par une paire de clés cryptographiques déverrouillée par votre empreinte, votre visage ou le code de votre téléphone. Elle ne peut être ni devinée, ni réutilisée, ni hameçonnée.

Mis à jour le 14 octobre 2026

Qu’est-ce qu’une passkey ?

Une passkey, appelée clé d’accès en français par Apple, Google et Microsoft, est un identifiant de connexion qui remplace le mot de passe. Elle repose sur les normes ouvertes de la FIDO Alliance et du W3C (WebAuthn), soutenues par les grands éditeurs de systèmes et de navigateurs.

Concrètement, au lieu de taper un mot de passe, vous confirmez la connexion comme vous déverrouillez votre téléphone : empreinte digitale, reconnaissance faciale ou code PIN de l’appareil.

Comment fonctionne une clé d’accès ?

Une passkey utilise la cryptographie à clé publique. À sa création, votre appareil génère une paire de clés propre à ce site :

la clé privée reste sur votre appareil ou dans votre gestionnaire, chiffrée, et ne quitte jamais votre contrôle ;
la clé publique est envoyée au site, qui la conserve.

À chaque connexion, le site envoie un défi aléatoire. Votre appareil le signe avec la clé privée après vous avoir identifié (biométrie ou code), et le site vérifie la signature avec la clé publique. Aucun secret ne transite et le site ne stocke rien qui permette de se connecter à votre place.

Pourquoi c’est plus sûr qu’un mot de passe

Insensible aux fuites : un pirate qui vole la base de données du site ne récupère que des clés publiques, inutilisables.
Résistante à l’hameçonnage : la passkey est liée au nom de domaine exact du site. Sur un faux site imitant votre banque, elle ne fonctionne tout simplement pas.
Impossible à deviner ou à réutiliser : chaque passkey est unique, aléatoire et propre à un seul site.
Double facteur intégré : il faut posséder l’appareil et le déverrouiller.

Passkeys synchronisées ou liées à un appareil

Il existe deux types de passkeys :

Synchronisées : stockées dans un gestionnaire (Trousseau iCloud et app Mots de passe d’Apple, Gestionnaire de mots de passe de Google, Bitwarden, 1Password, Proton Pass, Dashlane…) et disponibles sur tous vos appareils. Si vous perdez votre téléphone, vous les retrouvez sur le nouveau. C’est le cas le plus courant.
Liées à un appareil : stockées dans une clé de sécurité physique (YubiKey, Titan…) ou certains environnements professionnels. Elles ne peuvent pas être copiées, ce qui offre le niveau de sécurité le plus élevé, mais leur perte impose une méthode de secours.

Depuis 2025, la norme Credential Exchange de la FIDO Alliance permet de transférer des passkeys d’un gestionnaire à un autre. Apple l’a intégrée à iOS 26 et macOS 26, et plusieurs gestionnaires (dont Bitwarden) la prennent en charge : changer de gestionnaire ne signifie plus recréer toutes ses passkeys.

Quels services acceptent les passkeys ?

Les comptes Google, Apple et Microsoft les acceptent, ainsi que de nombreux grands services : Amazon, PayPal, GitHub, WhatsApp, eBay, Nintendo, Adobe, entre autres. Google propose les passkeys par défaut aux comptes personnels depuis 2023, et Microsoft crée depuis mai 2025 les nouveaux comptes personnels sans mot de passe par défaut.

La liste évolue chaque mois : le plus simple est de chercher « clé d’accès » ou « passkey » dans les paramètres de sécurité de chaque compte.

Créer une passkey sur les principaux comptes

Compte Google

Rendez-vous sur myaccount.google.com, rubrique Sécurité > Clés d’accès et clés de sécurité.
Choisissez « Créer une clé d’accès ».
Confirmez avec l’empreinte, le visage ou le code de votre appareil. La passkey est enregistrée dans le Gestionnaire de mots de passe de Google (Android, Chrome) ou dans le trousseau iCloud (iPhone, Mac).

Compte Apple

Sur iPhone, iPad et Mac, votre compte Apple fonctionne déjà comme une passkey sur vos appareils connectés. Pour les autres sites, iOS et macOS proposent automatiquement d’enregistrer une clé d’accès lorsque le site en offre la possibilité ; elles sont stockées dans l’app Mots de passe et synchronisées via iCloud.

Compte Microsoft

Connectez-vous sur account.microsoft.com, puis Sécurité > Options de connexion avancées.
Choisissez « Ajouter un nouveau moyen de vous connecter » puis « Visage, empreinte digitale, code PIN ou clé de sécurité ».
Suivez les instructions de Windows Hello, de votre téléphone ou de votre clé de sécurité.

Se connecter avec une passkey au quotidien

Sur un site compatible, cliquez sur « Se connecter avec une clé d’accès » (ou laissez le champ identifiant proposer la passkey enregistrée), puis validez avec votre empreinte, votre visage ou votre code. Trois situations se présentent :

Sur l’appareil qui détient la passkey : la connexion se fait en un geste.
Sur un autre de vos appareils : si la passkey est synchronisée par votre gestionnaire, elle y est déjà disponible.
Sur un appareil tiers : scannez le QR code affiché avec votre téléphone, qui doit se trouver à proximité.

Pensez à enregistrer au moins deux passkeys pour vos comptes essentiels (par exemple une dans votre gestionnaire et une sur une clé physique), comme on garde un double de ses clés de maison.

Passkey ou mot de passe : comparatif

	Mot de passe	Passkey
À retenir	Oui, ou gestionnaire	Non
Risque de réutilisation	Élevé	Impossible
Exposé en cas de fuite du site	Oui	Non (clé publique seulement)
Hameçonnage	Vulnérable	Résistante
Double authentification	À ajouter	Intégrée
Connexion	Saisie + code 2FA	Un geste biométrique
Compatibilité	Universelle	En croissance rapide

Les limites des passkeys

Dépendance à l’écosystème : stocker toutes ses passkeys chez Apple ou Google lie l’accès à vos comptes à ce compte-là. Protégez-le soigneusement, ou utilisez un gestionnaire indépendant multiplateforme.
Récupération : si vous perdez tous vos appareils et l’accès au compte qui synchronise les passkeys, vous devez passer par la récupération de chaque service. Gardez une méthode de secours.
Le mot de passe reste souvent actif : sur beaucoup de sites, ajouter une passkey ne supprime pas le mot de passe, qui reste une porte d’entrée. Il doit donc rester long et unique tant que le site ne permet pas de le désactiver.
Appareils partagés ou anciens : un vieux système ou un ordinateur public peut ne pas proposer de passkey ; la connexion par QR code avec votre téléphone règle généralement le problème.

Notre conseil : créez une passkey partout où elle est proposée, en commençant par votre messagerie, et conservez pour chaque compte une méthode de secours (codes de récupération, seconde passkey sur un autre appareil ou clé physique).

Questions fréquentes

Mon empreinte digitale est-elle envoyée au site ?

Non. L’empreinte ou la reconnaissance faciale servent uniquement à déverrouiller la passkey sur votre appareil, comme pour déverrouiller le téléphone. Le site ne reçoit qu’une signature cryptographique, jamais de donnée biométrique.

Puis-je utiliser une passkey sur un ordinateur qui ne m’appartient pas ?

Oui : choisissez « utiliser un autre appareil » ou « téléphone ou tablette ». L’ordinateur affiche un QR code que vous scannez avec votre téléphone, qui doit être à proximité (le Bluetooth vérifie la présence physique). Aucune passkey n’est copiée sur l’ordinateur.

Une passkey remplace-t-elle la double authentification ?

Oui, elle combine à elle seule deux facteurs : la possession de l’appareil qui détient la clé privée et le déverrouillage biométrique ou par code. La plupart des services considèrent une connexion par passkey comme une authentification forte.

Que se passe-t-il si je supprime une passkey par erreur ?

Vous vous connectez avec une autre méthode (mot de passe, code par e-mail, autre passkey), puis vous en recréez une. La clé publique orpheline peut être supprimée dans les paramètres de sécurité du compte.